Ledger 发现东南亚经销商 CryptoBilis 销售设备中存在非法硬件植入物

周二，法国巴黎硬件钱包制造商 Ledger 在推特上表示，其安全研究团队发现了一种未经授权的硬件植入物。该植入物位于由东南亚经销商 CryptoBilis 销售的钱包内部，能够窃取恢复助记词。

Ledger 于周六确认在一台受影响用户的设备中发现了该植入物。该公司周五披露了这一事件，并指出所有已确认的损失均涉及通过 CryptoBilis 销售的设备。公司强调，尚未核实与在其他渠道购买设备相关的资金被盗事件。

植入物工作原理与技术细节

Ledger 设备（公司称之为“签名器”）在设置过程中会显示一组24个单词的恢复助记词。任何持有该短语的人都可以恢复钱包并控制其中的资金。

根据 Ledger 安全团队 Donjon 的分析，该植入物位于设备外壳内部，并通过读取屏幕显示内容来工作。当检测到恢复助记词界面时，其微控制器会对单词进行解码，并通过预配置的 eSIM 卡使用 LTE 网络传输这些数据。

Ledger 指出，该植入物是一个独立的组件，并未修改设备的安全元件（Secure Element）或 Ledger 操作系统，也没有篡改交易或签名过程。

影响范围与用户建议

Ledger 表示，CryptoBilis 已确认在调查期间停止销售 Ledger 设备。目前，Ledger 尚未确认受影响的总用户数量或具体损失金额，网络上流传的数据来自第三方，公司尚未完全核实。链上调查员 Specter 追踪到以太坊、波场和比特币网络上超过8600万美元的可疑盗窃资金。

此外，Ledger 正在审查关于其他签名器和地区存在植入物的报告。一名 X 平台用户声称在欧洲零售店购买了两个被篡改的 Ledger 设备，但该说法尚未得到独立证实。

Ledger 向未设置设备的 CryptoBilis 买家发出警告：切勿激活设备，应立即联系 Ledger 客服支持。对于已设置设备的用户，建议立即将资产转移至新设备并使用新的恢复助记词，严禁在任何从 CryptoBilis 购买的设备上输入或恢复助记词。

资金受损或持有被篡改设备的用户应向当地执法机构报案。Ledger 提醒用户，在与 Ledger 客服或警方沟通之前，切勿将设备寄送给任何人或自行拆机。

未从 CryptoBilis 购买的买家可参考 Ledger 提供的指南检查设备内部，但公司警告称，打开签名器可能会造成损坏，因此强烈建议用户先备份恢复助记词。

Ledger 再次重申，官方永远不会主动致电用户、发送私信或索要恢复助记词。Donjon 团队将对收到的设备进行详细分析，并在调查继续推进的过程中分享更多最新信息。